공급망이 사이버 보안 위협 증폭, 새 보고서 밝혀

보안 서비스 기업의 보고서에 따르면 공급망이 기업에 사이버 보안 위험을 초래하고 있습니다.

뉴욕 소재 블루보이언트(BlueVoyant)는 5개국 1,500명 이상의 CIO, CISO, CPO를 설문조사했습니다. 이들 임원은 제조업을 포함한 다양한 분야에 종사합니다.

보고서에 따르면 응답자의 80%가 공급망을 통해 '침해를 겪었다'고 답했습니다. 대부분 '최소 2건 이상의 침해'를 경험했고, 10명 중 1명은 '6건 이상' 겪었습니다.

컨설팅 기업에 따르면 응답자의 29%가 '위험이 서드파티 벤더에서 발생했는지 알 방법이 없었다'고 했으며, '침해가 발생하기 전까지는' 몰랐습니다. "이런 조직은 사실상 눈먼 채로 비행하는 셈입니다."

"실제 공급망 붕괴 문제가 실제로 발생하고 있는 진짜 문제입니다."라고 블루보이언트의 짐 펜로즈(Jim Penrose) COO는 인터뷰에서 말했습니다.

펜로즈는 대기업 제조업체들이 벤더들의 사이버 보안을 지원해야 한다고 말했습니다.

"우리는 서로 의존합니다."라고 그는 말했습니다. "작은 업체들 중 다수는 보안 전담 인력이 없을 수 있습니다."

블루보이언트에 따르면 응답자의 23%만 모든 벤더를 모니터링한다고 했으며, 19%는 중요 벤더만 모니터링한다고 했습니다.

"이는 긴 벤더 추적 경로를 완전히 모니터링하지 않은 채로 두어, 어느 날 어느 벤더에서든 위험이 발생할 수 있게 만듭니다."라고 보고서는 지적했습니다.

펜로즈는 제조업체를 포함한 기업들이 특정 간격으로 검토를 수행한다고 말했습니다.

"첫 단계는 이 주기적 평가 모델에서 벗어나는 것입니다."라고 그는 말했습니다. "주기적 검토는 너무 느립니다."

블루보이언트 보고서에 따르면 응답자의 단 2%만 실시간 또는 일일 모니터링을 수행하며, '10명 중 1명'만 매주 평가를 수행합니다. '5분의 1은 분기별로 사이버 위험을 평가'합니다. 이 모든 것이 '빠르게 변화하는 사이버 위협 환경'과 비교됩니다.

기업들은 스스로에게 물어야 합니다. "어떻게 매일 위험을 낮출 것인가?"라고 펜로즈는 인터뷰에서 말했습니다.

"조직이 문제를 발견했을 때 항상 공급업체에게 솔직하지는 않습니다."라고 보고서는 전했습니다. 응답자의 36%가 '공급업체에 알리고 그들이 고치길 희망하며, 같은 비율이 공급업체가 적절한 보안을 확보하도록 의존'합니다.

보고서의 한 섹션은 제조업을 구체적으로 다루었습니다.

생산 기계들이 서로 통신하는 산업용 사물인터넷(IIoT)이 더 많은 사이버 위험을 초래한다고 컨설팅 회사는 말했습니다. 'IIoT의 전체 또는 일부를 마비시키거나 데이터를 수확하는 사이버 공격의 잠재적 영향이 증가한다'고 보고서는 밝혔습니다.

컨설팅 회사는 제조 부문 임원 250명을 설문조사했습니다. 이들 중 57%가 지난 12개월간 공급망에서 사이버 침해를 겪었다고 답했습니다. 또한 82%가 모든 공급업체를 사이버 위험 측면에서 모니터링하지 않는다고 답했습니다.